vpn site-to-site site-to-client共存配置问题

我公司原用cisco2811路由器做VPN，模式是lan-to-lan，各分公司客户端使用路由器，无固定IP（ADSL拨号），使用一直正常。现需在2811上增加vpn client连接功能。但连接总有问题。
1、        原lan-to-lan配置
状态：lan-to-lan使用正常
/ p6 A8 s  x& p% E- I
. I5 G/ `6 U3 E, w( M8 l" T. Ecrypto isakmp policy 1
0 `6 l' |: b; A encr 3des
authentication pre-share
  ?; V  q; Z: D4 b; k1 j!
- k5 ^  V- e& _% Scrypto isakmp policy 3
- h3 i2 D/ B4 x! n* |( P authentication pre-share
' _2 b% x+ Z5 |! S% Ccrypto isakmp key 123456 address 0.0.0.0 0.0.0.0
5 |& U5 h1 t( Z4 n8 I. i, z" V!
crypto ipsec transform-set VPN esp-des esp-md5-hmac
8 X. O' X4 O% F!
# q9 N, ]2 p, @crypto dynamic-map DYNMAP 1
9 W& Q- U. u& R% { set transform-set VPN
match address 102
! Q3 z' u8 J1 X; {4 X, Z!
, j$ A0 B, t+ \5 dcrypto map CMAP 60000 ipsec-isakmp dynamic DYNMAP
" M; X: p/ p' f; S! \. ]
: ?. X. M1 v2 P: waccess-list 102 remark VPN_ACL IPSec Rule
access-list 102 permit ip 172.18.0.0 0.0.255.255 172.19.0.0 0.0.255.255
4 Q. p4 l/ h6 g6 j2、        修改配置1
3 s4 m$ v/ e$ u* [' B: \8 }$ f状态：cisco vpn client 连接正常，可以ping通内网，但原lan-to-lan不通。
, X/ i5 j' |+ X/ W# s
7 u4 E# F2 f6 [; o' p) kcrypto isakmp policy 1
encr 3des
* Y7 e- r6 f" M3 z8 f% C0 f/ F authentication pre-share
0 @% Z+ ?; |2 I$ E7 R group 2 新增
!
$ r- f: I( X. s2 F5 A4 H4 Wcrypto isakmp policy 3
authentication pre-share
" B+ f8 f2 L& ^crypto isakmp key 123456 address 0.0.0.0 0.0.0.0
2 U+ B2 Z% \) F# Z) @1 H!
$ h- u4 Q+ G8 ?" @" ~' R6 J( M1 R, B$ @Crypto isakmp client configuration group test 新增
Key test-1234
% O& W$ ?) a# ^- g1 bPool p1
Netmask 255.255.255.0
( m/ `; X) A, S) c2 u. t) ^!
crypto ipsec transform-set VPN esp-des esp-md5-hmac
crypto ipsec transform-set tran-hh esp-3des esp-md5-hmac 新增
!
crypto dynamic-map DYNMAP 1
/ O9 E" M+ ^7 p- c1 a" B set transform-set VPN
match address 102
6 E6 s% e& W5 T1 F5 {# n!
Crypto dynamic-map dy-hh 1 新增
1 g3 X  |, b7 O5 V; W( ^9 W6 u* n Set transform-set tran-hh
Reverse-route
!
& b2 g8 I- a9 J2 WCrypto map CMAP isakmp authorization list test 新增
  Y: k$ @6 i2 S' A8 }Crypto map CMAP client configuration address respond
+ A% i$ }4 r; t# NCrypto map CMAP 1 ipsec-isakmp dynamic dy-hh
crypto map CMAP 60000 ipsec-isakmp dynamic DYNMAP
$ x, E* Z( A* u. i
; k* w/ }* b3 t7 E$ r4 |# Tip local pool p1 172.19.200.10 172.19.200.100
5 a/ P! X% l3 I0 B! i+ daccess-list 102 remark VPN_ACL IPSec Rule
access-list 102 permit ip 172.18.0.0 0.0.255.255 172.19.0.0 0.0.255.255


0 ~. o$ w, c6 u" J3、        修改配置2
! |' V. s5 e# w! r3 A% x, L状态：原lan-to-lan正常，Cisco vpn client 连接通过，在路由器上show cry ipsec sa，也正确，但client客户端不能ping通内网，也就是说虽连接了，但相互网络不通。
crypto isakmp policy 3
encr 3des
/ z; \+ j/ R8 [+ Z. h4 _( R. W authentication pre-share
group 2
!
. u. _4 e' e( e: J0 w/ Z. d7 eCrypto isakmp policy 10
, a9 a6 p" o6 f* _3 L Encr 3des
Authentication pre-share
!
crypto isakmp key 123456 address 0.0.0.0 0.0.0.0
!
( B" {& K1 R* b) M2 ?$ [3 OCrypto isakmp client configuration group test
Key test-1234
Pool p1
Netmask 255.255.255.0
4 q" m" a# r% m( p!
/ s" D3 F8 \2 M# X2 L; Ecrypto ipsec transform-set VPN esp-des esp-md5-hmac
crypto ipsec transform-set tran-hh esp-3des esp-md5-hmac
/ Y9 B4 I/ E% N$ x2 {9 ^1 w+ M!
4 m6 y' t) g5 Kcrypto dynamic-map DYNMAP 1 无法删除，不知如何删除，还在
' E- J5 k6 w2 K2 p8 i set transform-set VPN
) m% R5 e  H9 B, s4 o7 t match address 102
$ u$ H, @7 e( x& R!
Crypto dynamic-map dy-hh 10
+ m8 d4 U) B" e5 ? Set transform-set tran-hh
Reverse-route
Crypto dynamic-map site 1
' y8 p% p+ Y3 z& F. y- H, K: u6 s3 ^set transform-set VPN
match address 102

% ~( U1 F! h* J9 x) J2 u!
Crypto map CMAP isakmp authorization list test
Crypto map CMAP client configuration address respond
Crypto map CMAP 1 ipsec-isakmp dynamic site
, S9 F3 q& }$ k2 B9 l3 M$ ?Crypto map CMAP 10 ipsec-isakmp dynamic dy-hh
crypto map CMAP 60000 ipsec-isakmp dynamic DYNMAP 无法删除，不知如何删除，还在
& @9 h' l% @$ `/ f2 B) m. M# o
) L) ^% B% D# B2 \# g4 xip local pool p1 172.19.200.10 172.19.200.100

access-list 102 remark VPN_ACL IPSec Rule
6 P( j4 Z0 _9 d! b$ J- gaccess-list 102 permit ip 172.18.0.0 0.0.255.255 172.19.0.0 0.0.255.255

原的LAN TO LAN的IPSEC policy 不变，新一个针对IPSEC client to lan的POLICY。

今天我再试试，主要是lan-to-lan是group 1，client要求group 2,变换集也不同

各种情况都试了，但结果是两种动态加密图，那个放在前面那种方式就正常，另一种则不通，请高手解答，谢谢

乱七八糟的配置，而且不全。首先给你纠正一下lan to lan的配置，动态的lan to lan不需要写感兴趣流，也就是说感兴趣流是动态协商的。
match address 102 //
access-list 102 permit ip 172.18.0.0 0.0.255.255 172.19.0.0 0.0.255.255 //这两条没用。
5 O( b' ^- F5 Q: [3 g1 c$ p0 K. o: X# A然后我们看一下你现阶段的地址问题：
7 g' ~5 Y2 i! D; H# d4 g3 rip local pool p1 172.19.200.10 172.19.200.100
) @3 b; p1 `% n" H. f9 Kaccess-list 102 permit ip 172.18.0.0 0.0.255.255 172.19.0.0 0.0.255.255
$ o2 G3 q: m0 r! M假设分支的一个地址是拨上来分配的地址是172.19.200.10吧，这个地址现在又满足你的感兴趣流，及第二条列表。你能告诉我当172.18.0.0网段去访问172.19.200.10的时候会走哪个VPN吗？？？
. J+ N: g* R6 b- H第三点就是你配置不全的问题，接口下调用的map我没看到。但提醒你注意，静态的map调用一定要在前面，这样才可以保证两个VPN不会互相干扰。仔细想想！
第四点是关键，中心端对于无固定IP的拨号用户要启用tunnel split技术，及隧道分割。这样才可以保证你的分支端同一路由器上的动态拨号VPN用户和lan to lan用户都不受影响，具体技术就不解释了去cisco网上查吧
最后，这种动态VPN如果两边都是cisco的设备强烈建议你用ezvpn技术。
还有配置乱啊！！！看的我都累眼睛！

老师批评的很中肯，配置没贴全，Cisco路由器vpn配置是有许多概念不清，配置不全，lan-to-lan客户端是家用型华为路由器（动态IP），有10几个，都在正常使用，dhcp设的为172.19.xx.xx，所以访问列表如102所设，172.19.200是借用其中之一段，做client地址池。客户端lan和client都是动态IP。如下配置lan-to-lan正常，client也可拨通，就是client端，无法ping通内网，show cry ipsec sa 有receive error包。
: D$ }5 X( r) d: U% s3 jcrypto isakmp policy 3
encr 3des
authentication pre-share
group 2
, H# ~, U- |4 H0 m" t) `!
% g. V  n( a6 Y% ?% d/ rCrypto isakmp policy 10
; V8 R8 F5 `+ B( n8 ZEncr 3des
& |9 I% x) h9 D$ F7 G8 sAuthentication pre-share
0 Y; y6 ~" a; X  g!
crypto isakmp key 123456 address 0.0.0.0 0.0.0.0
!
7 _! z# \9 Q0 ~Crypto isakmp client configuration group test
: t' ~7 [* E* f! V  PKey test-1234
# M/ T2 i3 o1 ?Pool p1
Netmask 255.255.255.0
# ], D. L& L; H7 a6 @' @!
crypto ipsec transform-set VPN esp-des esp-md5-hmac
! \: _: n3 ]; W6 d6 v- s4 t  r; lcrypto ipsec transform-set tran-hh esp-3des esp-md5-hmac
/ \- Z1 T9 v4 G; ^. E1 e!
; {6 N1 E; T5 t6 s! F4 NCrypto dynamic-map dy-hh 10
' G, O" n' u; T( C4 TSet transform-set tran-hh
7 r$ g  ?, I% q  K$ _) ?Reverse-route
！
8 d$ h6 m4 R8 ~, J% }Crypto dynamic-map site 1
set transform-set VPN
6 d1 Y: r) o, Q6 Kmatch address 102

!
7 z3 D% P) s1 M) ^3 K. RCrypto map CMAP isakmp authorization list test
6 f, C# s4 o8 ]$ E5 ~1 V- G& bCrypto map CMAP client configuration address respond
* [8 G: e2 _. Z# p& TCrypto map CMAP 1 ipsec-isakmp dynamic site
4 t! Y% h9 ~9 S4 \: lCrypto map CMAP 10 ipsec-isakmp dynamic dy-hh
: m6 B# x& i$ i/ |* ?
9 q% l( O: Z" kinterface FastEthernet0/0                        
description $ETH-LAN$$ETH-SW-LAUNCH$$INTF-INFO-FE 0/0$$ES_LAN$$FW_INSIDE$                                                                          
& e7 @9 Y  @9 E- A; E ip address 172.18.1.8 255.255.255.0                                    
  _9 x8 @0 S+ T: _+ M) P ip access-group 100 in                       
no ip redirects               
no ip unreachables                  
no ip proxy-arp               
ip nat inside              
, u3 h% a) f% M8 s: C0 { ip virtual-reassembly                     
ip route-cache flow                    
ip policy route-map RMAP2                          
duplex auto            
speed auto           
# F& d, t" F7 Z$ n. ~ no mop enabled               
!
interface FastEthernet0/1                        
/ O9 Z1 Z" O, j: t description $ES_WAN$$FW_OUTSIDE$                                 
4 g- G" U* U* w5 Q7 w/ g ip address xx.xx.xx.xx xx.xx.xx.xx
ip access-group 101 in                       
& I( h+ a# R6 x ip verify unicast reverse-path                              
! z' n% t5 H: J8 a no ip redirects               
no ip unreachables                  
no ip proxy-arp               
6 F* l' o7 C4 i! S ip nat outside               
$ a/ `! ]2 @. E/ v! e ip inspect DEFAULT100 out                          
1 @/ V0 W- Y: @2 |  J8 j7 ~7 {4 T3 C ip virtual-reassembly                     
, R2 c; v' e& b, \ ip route-cache flow                    
duplex auto            
speed auto           
no mop enabled               
crypto map CMAP     
0 M% Y7 @7 m$ t( X2 ~
!
ip classless            
ip route 0.0.0.0 0.0.0.0 xx.xx.xx.xx
! G- t( O- S( P  S; w, X8 I9 m& Bip route 172.18.0.0 255.255.255.0 172.18.1.1      
: u. x2 }6 M/ A2 y4 ]' f0 j4 D) h           


  [. j; \0 ]: n' T8 |, u1 M1 Cip local pool p1 172.19.200.10 172.19.200.100

5 T5 j$ R# g! Q4 g+ faccess-list 102 remark VPN_ACL IPSec Rule
access-list 102 permit ip 172.18.0.0 0.0.255.255 172.19.0.0 0.0.255.255

自己顶一下，等待sky777777

再顶

好可怜啊,可惜我不会,我也帮你顶一下.

要单配很简单实现，可能没人尝试过吧